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@ Elektromechanisches Bremssystem 

(57) Die Erfindung betrifft ein elektromechanisches Brems- 
system, insbesondere fur Kraftfahrzeuge, mit einem Pe- 
dalmodul (1) und zumindest zwei Bremsmodulen (7). 
Weiterhin kann ein Zentralmodul (6) vorgesehen sein. Die 
Verbindung zwischen den vorgenannten Modulen kann 
durch einen Datenbus (5) erfolgen. Der Datenbus ist red- 
undant ausgefuhrt. In einer Ausfuhrungsform kann das 
Zentralmodul (6) Signale einer Sensorik (3) auswerten 
und auf ihre Fehler hin untersuchen. Weiterhin kann das 
Zentralmodul (6) einen entsprechenden Bremssollwert 
ausgeben, der dann an die Bremsmoduie (7) ausgegeben 
wird. Die Bremsmoduie (7) ermitteln daraufhin entspre- 
chende Ansteuersignale fur die Aktoren (8), die in eine 
Wirkverbindung mit den Radern (9) treten, um den 
Bremswunsch des Fahrers umzusetzen. 
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Beschreibung 

Die Erfindung betrifrt ein elektromechanisches Bremssy- 
srem und ein Verfahren zur Steuerung eines elektromechani- 
schen Bremssystems, die durch den Einsatz eines redundan- 
ten B ussy stems und durch redundante bzw. fehlererken- 
nende Module die Systemsicherheit bei einer gleichzeitigen 
kostengunstigen Reaiisierung erhdhen. 

In der derzeitigen Bremsentechnik gehen neuere Ent- 
wicklungen dahin, daB elektrische Bremssysteme untersucht 
werden. Die Hydraulikzy Under, die heute die Bremsbelage 
gegen die Bremsscheibe pressen, werden an jeder Scheibe 
durch einen leistungsfahigen Eleklromotor ersetzt Die elek- 
irische Bremse bendtigt keine mechanischen oder hydrauli- 
schen Teile, wie Vakuumbremskraftverstarker oder Tan- 
demhauptzylinder. Weiterhin kann die eleku-ische Bremse 
heuiige und auch zukiinftige Funktionen einer Bremse uber- 
nchntcn, wic Antiblockicrsystcm (ABS), Traktionskontrollc 
oder Antriebsschlupfregelung (ASR), Electronic Stability 
Program (ESP) sowie den aulomatischen Bremseneingriff, 
wie er beispielsweise bei Abstandsregelsystemen vorgese- 
hen sein kann. 

Ein Bei spiel fur ein derartiges System isl in der WO 
95/13946 gezeigt. Dieses sogenannte elektronische Brems- 
systein weisl ein Zentralmodul und den Bremskreisen oder 
Radgruppen zugeordnete Bremsmodule auf. Das Zentral- 
modul kann hierbei ABS-, ASR-Berechnungen durchfiih- 
ren. kann die Bremskraftverteilung einstellen und radspezi- 
fische B rem sdrucksoil werte ermitteln. 

Einc Aufgabe der Erfindung ist es, ein elektromechani- 
sches Bremssy st em und ein Verfahren zum Steuern eines 
elektroniechanischen Bremssystems, insbesondere fur 
Kraft falirzeuge, zu realisieren, die sicher und dabei kosten- 
gunstig aufgebau! sind sowie einen geringen Installations- 
aufwand benotigen. 

Die Aufgabe wird gemaB den Merkmalen der unabhangi- 
gen Palentanspruche gelost. Die abhangigen Patentansprii- 
che zcigcn vorlcilhafte Ausfuhrungsformen und Weiterent- 
wicklungen der Erfindung auf. 

ErfindungsgcmaB kann ein elektromechanisches Brems- 
system. insbesondere fiir Kraftfahrzeuge, vorgesehen sein, 
welches ein Pedal modul zum redundanten Erfassen einer 
Fahrerhctaiigung eines Bremspedals mittels einer geeigne- 
ten Sensorik aufweisen kann. Das Brernssystem kann wei- 
terhin eine Einrichtung zum Ermitteln eines Bremssollwerts 
basierend auf dem l ; ahrerwunsch aufweisen und es kann ein 
Bremsmodul zum Ansteuern von zumindest einer Rad- 
bremsc, basierend auf dem Bremssoilwert, vorgesehen sein. 
Weiterhin kann eine Datenubertragungseinheit vorgesehen 
sein, die redundant ausgefuhrt ist und eine Datenverbindung 
zwischen dem Pedalmodul, der Einrichtung und dem 
Bremsmodul herstcllt, wobei die Einrichtung eine Fehlerer- 
kennungsschaltung aufweisen kann, die einen Fehler bei der 
Ermittlung des Bremssollwerts erkennen kann. 

Das Bremsmodul kann als Kreismodul ausgebildet sein, 
wobei jeweils eine Leistungselektronik zur Ansteuerung 
von zwei Aktoren in dem Kreismodul enthalten sein kann. 
In jedem Kreismodul kann aktorspezifische Funkuonssoft- 
ware (z. B. eine Spannkrafiregelung) fiir zwei Aktoren im- 
plementiert sein. 

Die Module konnen uber einen doppelten Datenbus bzw. 
die Datenubertragungseinheit verbunden sein. Die Architek- 
tur des Bremssystems ist im wesentlichen durch die Signal- 
und Redundanzschnittstellen der Module gekennzeichnet, 
die z. B. fchlcrtolcrant, fail- silent oder fail-safe ausgebildet 
sind. Die Architektur legt damit besonderen Wert auf die 
Funktionsaufteilung der Fehlererkennung durch die Module 
selbst 



Zur Kosteneinsparung kann weiterhin eine Zentralmodul- 
funktion in einem Kreismodul bzw, einem Bremsmodul rea- 
lisiert werden. 

ErfindungsgemaB kann somit ein modul arer Aufbau er- 
5 zielt werden, wobei Fehler auf der Komponentenebene iso- 
liert werden, so daB keine Fehlerfortpflanzung erfolgen 
kann. Weiterhin kann durch das Vorsehen des Datenbusses, 
weicher die einzelnen Module direkt verbindet, die Weg- 
strecke der Ubertragung von Analogsignalen minimiert wer- 
10 den, so daB der Aufwand fiir eine EMV-Storfestigkeit relativ 
gering gehalten werden kann. 

Ein weiterer Vorteil der Erfindung liegt darin, daB ein si- 
cherheitskritisches Zuspannen einer Bremse - mit und ohne 
Vorliegen eines Bremswunsches - infolge eines Fehlers in 
15 einem Rechner, einer Leistungseleku*onik oder einem Aktor 
mit Sensoren nicht moglich ist. 

Im folgenden werden AusfUhrungsbeispiele der Erfin- 
dung anhand von schemati schen Zcichnungcn nahcr crlau- 
tert. Es zeigen: 

20 Fig. 1 ein schematisches Blockschaltbild gemaB einer er- 
sten Ausfuhrungsform; 

Fig. 2 ein schematisches Blockschaltbild gemaB einer 
zwei ten Ausfuhrungsform; 

Fig. 3 ein schematisches Blockschaltbild gemaB einer 

25 dritten Ausfuhrungsform; 

Fig. 4 ein schematische Blockschaltbild gemaB einer 
vierten Ausfuhrungsform der Erfindung und 

Fig. 5 ein schematisches Blockschaltbild gemaB einer 
funften Ausfuhrungsform der Erfindung. 

30 Die Fig. 1 zeigt ein Pedalmodul 1 mit einem schematisch 
angedeuteten Bremspedal 2. Das Bremspedal 2 bzw. die Be- 
wegung des Bremspedals 2 kann beispielsweise iiber eine 
Sensorik 3, die drei Sensoren aufweist, erfafit werden. Es 
konnen zwei Wegsensoren und ein Kraftsensor verwendet 

35 werden. Die Ausgangssignale dieser Sensorik 3 werden 
dann Modulen zur Umwandlung von Signalen der Sensorik 
3 in Digitalsignale zugefuhrt. Diese Module konnen bspw. 
zwei integrierte Analog-/Digital-Wandler 4 sein. Die Ana- 
log-/Digital-Wandler 4 sind mit einem Datenbus 5 gekop- 

40 pelt. 

Es ist auch denkbar, fiir jeden Sensor einen eigenen Ana- 
log-/Digital-Wandler 4 vorzusehen und die gewandelten 
Werte auf zwei Busankopplungen zu geben (nicht darge- 
stellt). Die erste Sunktur (wie dargestellt) hat Vorteile in der 
45 einfacheren Aufteilung der Spannungsversorgung, wobei 
die zweite Struktur Vorteile in der einfacheren Fehlererken- 
nung beziiglich Sensor- und Wandlerfehlem besitzt. 

Im folgenden soil nun beispielhaft eine Funktionsbe- 
schreibung der Systemarchitektur gemaB der Fig. 1 gegeben 
50 werden. 

Der Fahrerbremswunsch kann im Pedalmodul 1 iiber die 
entsprechende Sensorik 3 erfaBt werden. Die Sensorik 3 ist 
redundant und dissimilar aufgebaut. Hierbei wird beispiels- 
weise der Pedal weg und die FuBkraft erfaBt. Die analogen 

55 Signale der Sensorik 3 werden lokal in digitale Werte ge- 
wandelt und ohne weitere Aufbereitung auf den redundan- 
ten Datenbus 5 ubertragen. Die ubertragenen Daten konnen 
jedoch fehlerbehaftet sein. 

Die Datenkonsolidierung, d. h. die Erkennung defekter 

60 Sensoren oder defekter Hardware und eine Bestimmung ei- 
nes Bremssollwerts basierend auf den Ausgangssignalen der 
Sensorik 3 konnen nun beispielsweise in dieser Ausfuh- 
rungsform in einem Zentralmodul 6 erfolgen. Der in dem 
Zentralmodul 6 ermittelte Bremssoilwert kann dann an 

65 Bremsmodule 7 iiber den Datenbus 5 ubcrrnittclt werden. 
Der Bremssoilwert bzw. der Bremswunsch wird dann in den 
Bremsmodulen 7 in einen Sollwert einer Zuspannkraft, ei- 
nes Bremsmoments und/oder in eine aquivalente GroBe 
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ubertragen. 

Das Zentralmodul 6 kann dem Bremssollwert hohere 
Funktionen, wie beispielsweise ABS, ASR, usw., uberla- 
gern und damit den Bremssollwert andem, sofern erforder- 
lich. Weilerhin kann das Zentralmodul 6 fail-silent ausgebil- 
dei scin. In einem Fehlerfall geht das Zentralmodul in einen 
sicheren Zustand uber, so daB es andere Komponenten oder 
das Gesan n system nicht. beeintrachtigt. In dieser Ausfuh- 
rungsform schaltet sich das Zentralmodul bei einem erfaB- 
tcn Fehler ab. 

Isi dies der Fall, so wird eine NoUauffunfction aktiviert, in 
dcr die (Icnerierung des Bremssollwerts in jedem Bremsmo- 
dul 7 ausgefuhrt wird. Notwendig dafur ist lediglich die 
Auswcrtung eines Sensorsignals der Sensorik 3, Aus physi- 
kalisehcn Griinden (Auflosung, Rauschen, etc.) ist es jedoch 
si nn vol I. mchr als einen Sensor auszuwerten. Eine Uberwa- 
chung der rcdundanten Sensoren erfolgt jedoch in der Not- 
laulTunkiion in den Brcmsmodulcn 7 nicht. 

Falls in einem Bremsmodul 7 hohere Funktionen imple- 
meniicrt sind (siehe Fig. 2), wird in diesem Bremsmodul 7 
der Brcnissollwert aus den Sensorsignalen ermittelt und 
iiber den Datenbus 5 an das andere Bremsmodul 7 ubertra- 
gen. Falll ein Bremsmodul 7 aus, so ubemimmt das intakte 
Bremsmodul 7 die Berechnung des Bremssollwertes. Das 
Bremsmodul 7 ohne die implemenlierte hohere Funkiion 
fuhrt jedoch keine Datenkonsoiidierung und Fehlererken- 
nung durch. 

Die Fig. 2 enthalt somit eine kostengiinslige Variant e des 
Bremssystems, bei der die Zentralmoduifunktion in einem 
Bremsmodul 7 vorgesehen ist. 

In den Fig. 1 und 2 sind vier Aktoren 8 dargestellt, welche 
eine Bremskraft auf jeweils ein Rad 9 ausuben konnen. Die 
Aktoren 8 sind beispielsweise Elektroniotoren, die Brems- 
belage gegen eine Bremsscheibe des Rads 9 driicken. 

Weiterhin ist in den Fig. 1 und 2 dargestellt, daB zwei 
Strom versorgungen Bat 1, Bat 2 vorgesehen sind, wobei je- 
weils eine Strom versorgung fur ein Bremsmodul 7 vorgese- 
hen ist. Somit ist sichergestellt daB bei Ausfall einer Strom- 
versorgung noch ein Bremsmodul 7 sicher mit Strom ver- 
sorgt werden kann. Dasselbe gill fur die Analog-/Digital- 
Wandler4. 

Die Bremsmodule 7 sind fail-safe ausgebildet. Die Lei- 
stungselektronik, die Aktoren, die Sensoren des Aktors und 
der Rechner des Bremsmoduls 7 werden beispielsweise iiber 
Rechenmodelie mil der Realitat abgeglichen. Anstatt der 
Rechenmodelle (z. B. Differentialgleichung) konnte natiir- 
lich auch eine vorab gespeicherte Tabelle vorgesehen sein, 
mit der die BremsmeBwene uberwacht werden, wobei dann 
bei einer Abweichung von der Modellvorstellung bzw. den 
in der Tabelle abgespeicherten Werten von den MeBgroBen 
auf einen Fehler des Bremsmoduls 7 geschlossen werden 
kann. Das Bremsmodul 7 geht dann in einen sicheren Zu- 
stand iiber. Die Bremse wird dann gelost und geht somit auf 
bzw. schleift lediglich an der Bremsscheibe des Rads 9. Die 
Fail-Safe-Ausbildung des Bremsmoduls 7 kann somit durch 
eine Hardwareredundanz und eine analytische Redundanz 
(Softwareredundanz) erzielt werden. 

Weiterhin enthalten die Bremsmodule 7 jeweils eine Ein- 
richtung zur zeitsynchronen Erfassung von Raddrehzahlen. 
Die Raddrehzahlen werden in den Datenbus 5 gespeist und 
zu dem Bauteil oder Element gefuhrt, das die hoheren Funk- 
tionen ausfuhrt. Die Bremsmodule 7 haben eine gemein- 
same Zeitbasis. 

In der Fig. 3 ist eine weitere Ausfuhrungsform der Erfin- 
dung dargestellt. Wic in den Fig. 1 und 2 wird in dcr Fig. 3 
der Fahrerbremswunsch mit einer geeigneten Sensorik 3 er- 
faBt. Die Sensorik 3 kann hierbei aus redundanten Sensoren 
bestehen, die beispielsweise den Pedalweg und die FuBkraft 



erfassen. Diese analogen Signale werden wiederum lokal in 
digitale Werte gewandelt. Die Datenkonsoiidierung, d. h. 
die Erkennung defekter Sensoren oder defekter Hardware 
und die Bremssollwertermittlung erfolgt nun in Pedal mo- 
5 dulrechnern 10. Das Pedalmodul 1 ist damit fehlertolerant 
ausgefuhrt. Das fehlertolerante System gibt ein konsoiidier- 
tes Signal aus, wobei davon ausgegangen wird, daB das kon- 
sohdierte Signal (d. h. z. B. der Bremssollwert) korrekt ist. 
Wenn ein Fehler eines Sensor der Sensorik 3 erkannt wird, 

10 so kann sich das fehlertolerante Pedalmodul 1 rekonfigurie- 
ren, wobei dann die gleiche Funktion wie vorher ohne einen 
Funktionsverlust ausgefuhrt werden kann. 

Der konsolidierte Bremssollwert wird dann an das Zen- 
tralmodul 6 ubertragen, durch hohere Funktionen (ABS, 

15 ASR, usw.) eventuell modifiziert und dann an die Bremsmo- 
dule 7 ubertragen. Die Bremsmodule 7 verwenden den 
Bremssollwert dann zur Ausgabe einer Zuspannkraft, eines 
Brcmsmomcnts oder von aquivalcntcn GroBcn, wobei dann 
die Aktoren 8 entsprechend betatigi werden. Fallt das Zen- 

20 tralmodul 6 aus, so wird auf eine Notlauffunkuon geschaltet. 
Dasselbe gilt, wenn die Zentralmoduifunktion in einem 
Bremsmodul 7 realisiert. ist. 

In der Notiauffunktion wird in dieser Ausfuhrungsform 
der Bremssollwert in jedem Bremsmodul 7 direkt in einen 

25 enlsprechenden Sollwert der Zuspannkraft, des Bremsiiio- 
ments, usw., umgerechnet. 

Falls die hoheren Funktionen in einem Bremsmodul 7 ini- 
plementiert sind (Fig. 4), so wird in diesem Bremsmodul 7 
der Bremswunsch modifiziert und iiber den Datenbus 5 an 

30 das andere Bremsmodul 7 als modifizierter Bremssollwert 
ubertragen. Dieser modifizierte Bremssollwert wird dann 
wiederum zum Ermitteln und zur Ausgabe einer entspre- 
chenden Zuspannkraft, eines Bremsmoments oder einer 
aquivalenten GrdBe herangezogen. Fallt ein Bremsmodul 7 

35 aus, so ubemimmt das intakte Bremsmodul 7 die Bestim- 
mung der Zuspannkraft des Bremsmoments oder der aqui- 
valenten GroBen. 

Der Aufbau des Pedalmoduls 1 ist mehrfach redundant 
ausgefiihrt. Es konnen zumindest drei Rechner vorgesehen 

40 sein, so daB die Erzeugung des Bremssollwerts fehlertole- 
rant ist. 

Als Ausfuhrungsbeispiel ist in den Fig. 3 und 4 eine 
Rechnerstruktur des Pedalmodulrechners 10 dargestellt, die 
zwei redundante Rechner in einer Duo-/Duplexstruktur auf- 

45 weist. Bei dieser Variante besteht der Rechner des Pedalmo- 
duls 1 aus vier Rechnern (Rl, Rl', R2, R2'), wobei jeweils 
zwei zu einer eigensicheren (fail-silent) Struktur zusammen- 
gefaBt sind. Pro Rechnerpaar wird ein konsolidierter Fahrer- 
bremswunsch ermittelt und auf den Datenbus 5 gegeben. 

50 Tritt ein Rechenfehler auf, so schaltet sich der betroffene 
redundante Rechner ab, d. h. es wird entweder ein fehler- 
freier oder gar kein Bremssollwert ausgegeben. Weiterhin 
ware denkbar einen Dreifachrechner mit nachgeschaltetem 
Voter/Monitor einzusetzen. Bei dieser Struktur wurde nur 

55 ein konsolidierter Bremssollwert ausgegeben werden. 

Im folgenden wird bezUglich der Fig. 1 bis 4 die Funktion 
der einzelnen Module und Elemente des Bremssystems na- 
her erlautert. 

Das Zentralmodul 6 bzw. die Steuereinheit enthalt die 
60 vorgenannten hoheren Funktionen und fuhrt im Ball des 
nicht selbstsicheren Pedalmoduls 1 die Ermitdung des 
Bremssollwertes durch. Weiterhin fuhrt das Zentralmodul 6 
im Fall des nicht fehlertoleranten bzw. nicht selbstsicheren 
Pedalmoduls 1 eine Fehlererkennung des Pedalmoduls 1 
65 durch. Dcr Zcntralmodulrcchncr 11 ist redundant und schal- 
tet sich im Fehlerfall selbst ab. Das Zentralmodul 6 verhalt 
sich dann entweder still (fail-silent) oder gibt noch eine Mel- 
dung iiber seinen Ausfall ab, um das Gesamtsystem in einen 
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sicheren Zustand zu Qberfuhren (fail-safe). Ein fehlerhafter 
Wert wild nicht ausgegeben. Sind die Funktionen des Zen- 
tralmoduls 6 in einem Bremsmodul 7 implementiert (Fig. 2 
und 4), so gilt das oben Gesagte aquivalent. Bei dieser Aus- 
fuhrungsform fallt jedoch die Schnittstelle Zentralmodul/ 5 
Bremsmodul weg. 

Das Bremsmodul 7 besteht aus einem redundanten 
Bremsmodulrechner 13 (Rl, Rl'), der Leistungselektronik 
fur zwei Aktoren 8 und einer redundant ausgefuhrten oder 
zyklisch testbaren Abschalteinheil 14. Die aktorspezifischen 10 
Sensorsignale (z. B. Strom, Spannung, Position, Tempera- 
tur, usw.) werden dem Bremsmodul 7 bzw. dem Bremsmo- 
dulrechner 13 zugefuhrt. 

Die Abschalteinheit 14 ist sicherheilstechnisch getrennt 
von der Leistungselektronik, d. h. ein Fehler der Leistungs- 15 
elektronik beeinfluBt die Funktion der Abschaltung nicht. 
Durch die redundante Rechnerstruktur ist sichergesiellt, daB 
bci einem Abschaltbcfchl dcs Zcntralmoduls 6 odcr bci ei- 
nem Fehler im Bremsmodul 7 der Abschaltbefehl lokal kor- 
rekt ausgefuhrt wird. Durch diese Slruktur kann eine sepa- 20 
rale Abschaltieitung vom Zentralmodul 6 eingespart wer- 
den. 

Die Redundanzschnitts telle ist in diesem Fall fail-safe, 
d. h. das Bremsmodul 7 erf till t seine spezifische Funktion 
oder schallet sich iin Fehler fall selbsl ab und meldet die 25 
Fehlfunktion oder ist im Falle eines Rechnerfehlers still. 
Durch die Fail-Safe-Struktur ist sic herges tell t, daB ein Feh- 
ler erkannt wird und der A k tor 8 abgeschaltet werden kann. 

Somit wird eine analytische Redundanz (Softwareredun- 
danz) fur die Lei stun gselektronik, den Aktor 8 und die Sen- 30 
soren des Aktors 8 erhalten. Damit wird eine Fehlererken- 
nung ermoglicht, die auf der Basis der aktorspezifischen 
Sensoren (Stromsensor, Position ssensor, Spannkraftsensor, 
Temperatursensor, usw.) und dem spezifischen mathemati- 
schen Modell des Aktors 8 durchgefuhrt wird. 1st die (even- 35 
tuell aufbereitete) Differenz zwischen dem Modellausgang 
und den gemessenen Signalen zu groB, so liegt ein Fehler 
vor und der Aktor 8 wird abgeschaltet. 

Es ist auch denkbar, daB ein Bremsmodul 7 fur jede Rad- 
bremse vorgesehen ist. Ein Kreisausfall bei Ausfall eines 40 
Bremsmoduls ist dadurch ausgeschlossen. 

Fur alle Module gilt, daB redundante Rechner mit der Ei- 
genschaften fail- silent oder fail-safe bei spiels weise durch 
zwei vollstandige. parallele Rechner mit gleichem oder dis- 
similarem Aufbau aufgebaut werden konnen. Weiterhin 45 
ware es moglich, eventuell einen Doppelrechner mit Kern- 
redundanz zu verwenden. Ahnliche Strukturen waren auch 
ftir einen fehiertoieranten Dreifachrechner moglich. Beim 
Dreifachrechner wurde jedoch anstelle eines Vergleichers 
(Zweirechnerkonzept) ein fehlertoleranter Voter/Monitor 50 
benotigt. 

Der Datenbus 5 ist doppelt ausgefuhrt und mit jedem Mo- 
dul verbunden. Aus Kostengrunden kann ein reduzierter 
Doppelbus 5 eingesetzt werden. Der zweite Bus bis zum 
Zentralmodul 6 und einem Bremsmodul konnte eingespart 55 
werden. Die Sicherheit bezuglich der Bremsfunktion im 
Fehlerfall bleibt jedoch erhalten, da die Verbindung von 
dem Pedalmodul 1 zu einem Bremsmodul 7 (z. B. fur die 
Vorderachse) doppelt ist. Es tritt aber gegentiber der voll- 
standigen Doppelbus-Struktur ein Funktionsverlust z. B. 60 
(hohere Funktionen) bei einem Busfehler im Einfach-Bus 
auf. Dieser Funktionsverlust ist jedoch eventuell tolerierbar. 

Der Datenbus 7 kann ein CAN (Controller Area Net- 
work)-Bus mit einer ereignisorientierten Datentibertragung 
scin. Weiterhin kann cin TTP (Time Triggered Protocol) 65 
verwendet werden, so daB ein zeitsynchrones Rechnernetz 
moglich wird. 

Eine zentrale und synchrone Erfassung der Raddrehzah- 
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len kann im Zentralmodul 6 erfolgen oder in einem Brems- 
modul 7. Bei einer getrennten Erfassung und Aufbereitung 
der Raddrehzahlen und der Busubertragung muB in den 
Bremsniodulen 7 die Erfassung zeirsynchron erfolgen. Dies 
ist bei spiels weise bei der Verwendung eines TTB-Busses 
einfach zu realisieren. Mit dem CAN-Bus ist ein groBerer 
Auf wand erforderlich, urn die notige Synchronitat zu errei- 
chen. 

Als Energieversorgung sind zumindest zwei unabhSngige 
Versorgungsquellen notwendig (Bat 1, Bat 2). 

Durch das erfindungsgemaBe Vorsehen von zwei Aktoren 
8 in einem Bremsmodul 7 ergibt sich im Fehlerfall eine der 
hydraulischen Bremse vergleichbare Degradation. Beim 
Ausfall eines Bremsmoduls 7 oder einer Energieversorgung 
fallen zwei Bremsen 8, 9 aus. Somit kann von einem Kreis- 
ausfall gesprochen werden. Sind die hoheren Funktionen in 
dem betroffenen Bremsmodul 7 implementiert (vgl. Fig. 2 
und 4), so fallen dicsc mit aus. Dies kann tolerierbar scin, da 
bei einem Kreisausfall auch keine hoheren Funktionen mehr 
benotigt werden. Ansonsten ist bei einem Fehler in einem 
Aktor 8 und dem zugehorigen Leistungsteil und den Senso- 
ren nur eine Radbremse betroffen. Beim Ausfall des Zen- 
tralmoduls 6 fallen beispiels weise auch die hoheren Funk- 
tionen aus (vgl. Fig. 1 und 3), wobei die voile Randbrems- 
funktion erhalten bleibL Ein Ausfall eines Busses hat keine 
Degradation zur Folge (auBer bei dem Ensatz des vorge- 
nannten reduzierten Doppelbusses). 

Die erfindungsgemaBe Systemarchitektur gewahrleistet, 
daB keine Fehlerfortpflanzung auftritt. ErfindungsgemaB 
wird ein Fehler erkannt, bevor er sich auf andere Funktionen 
oder Module auswirken kann. Weiterhin sind die Verkopp- 
lungen reduziert und der Kommunikationsaufwand ist im 
Fehlerfall minimal. Fur die Fehlerfortpflanzung und den 
Aufwand zur Fehlererkennung ist es dabei unerheblich, ob 
die Funktion Fahrerwunscherfassung (BremssoUwerterrnitt- 
lung) und Fehlererkennung der Pedalsensoren im Pedalmo- 
dul 1 oder im Zentralmodul 6 bearbeitet werden. 

Die Fig. 5 zeigt eine weitere Ausfuhrungsform der Erfin- 
dung. Im Unterschied zu den vorangegangenen Ausfuh- 
rungsformen ist jedes Bremsmodul 7 nun mit einem redun- 
danten Rechner 13, einer Leistungselektronik, einem Aktor 
8 und den aktorspezifischen Sensoren (z. B. Strom, Spann- 
kraft, Position) und einer redundant ausgefuhrten oder zy- 
klisch testbaren Abschalteinheit 14 fur die Spannungsver- 
sorgung des Aktors 8 versehen. Insbesondere ist der redun- 
dante Rechner 13 nun jeweils fur eine Radbremse vorgese- 
hen. Somit ist bei einem Ausfall des Rechners 13 lediglich 
eine Radbremse betroffen, wobei dann die anderen Brems- 
module 7 nach wie vor fehlerlos funktionieren. 

Der Datenbus kann aus Kostengrunden reduziert ausge- 
bildet sein. Der zweite Bus zu den Bremsmodulen 7 der Hin- 
terachse (HR, HL) und zum Zentralmodul 6 kann eingespart 
werden. Die Sicherheit bezuglich der Bremsfunktion im 
Fehlerfall bleibt jedoch erhalten, da die Verbindung zwi- 
schen dem Pedalmodul 1 zu den vorzugsweise vorderen 
Bremsmodulen 7 (VR, VL) doppelt ist. Es tritt aber gegen- 
tiber der vollstandigen Doppelbusstruktur (vgl. Fig. 1 bis 4) 
ein Funktionsverlust bei einem Busfehler im Einfach-Bus 
auf. Dieser Funktionsverlust ist jedoch tolerierbar. 

Betreffend der Degradation im Fehlerfall ist der Funkti- 
onsverlust gering. Nur bei einem Ausfall einer Energiever- 
sorgung (Rad 1 oder Rad 2) fallen zwei Bremsen (Kreisaus- 
fall) aus, ansonsten ist immer nur eine Radbremse 7 betrof- 
fen. Beim Ausfall des Zentralmoduls 6 gehen lediglich die 
hoheren Funktionen (ABS, ASR, ESP, . . .) vcrlorcn, wobei 
die voile Grundbremsfunktion erhalten bleibt. Ein Ausfall 
eines Busses hat keine Degradation zur Folge. Bei einem re- 
duzierten Doppelbus (wie in Fig. 5 dargestellt) konnen bei 
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einem Busfehler jedoch das Zentralmodul 6 und die Brems- 
module 7 ausfallen, die den hinteren Bremsen (HR und HL) 
zugeordnet sind. Die Architektur ist so konfigurierbar, daB 
bei einem Fehler nie die Hinterradbremsen (HR und KL) al- 
lein zur Verfiigung stehen. Die Systemarchitektur gewahrt 5 
eine hohe Bremsverzogerung in alien Fehlerfallen. 

Weiterhin sei angemerkt daB die oben beschriebenen er- 
rindungsgemaBen Funkuonen und Systeme bzw. Module in 
jeder beliebigen Kombinauon alleine oder in ihrer Gesamt- 
heit von der Erfindung umfaBt sind. 10 

Patentanspruche 

1. Elektromechanisches Bremssystem, insbesondere 
fiir Kraftfahrzeuge, mir 15 
einem Pedalmodul (1) zum redundanten Erfassen einer 
FahrerbetStigung eines Bremspedals (2) mittels einer 
gccignctcn Scnsorik (3), 

einer Einrichtung zum Ermitteln eines Bremssollwerts 
basierend auf Ausgangssignalen der Sensorik (3), zu- 20 
mindest einem Bremsmodul (7) zum Ansteuern von 
zumindest einer Radbremse (8, 9) basierend auf dem 
Bremssollwert, und 

einer Datenubertragungseinheit, die redundant ausge- 
fiihrl i si und eine Dalenverbindung zwischen dem Pe- 25 
dalmodul (1), der Einrichtung und dem Bremsmodul 
(7) herstellt, wobei 

die Einrichtung eine Fehlererkennungsschaltung auf- 
weist, die einen Fehler bei der Ermittlung des Brems- 
sollwerts erkennt. 30 

2. Bremssystem nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die Einrichtung in einer Steuereinheit fiir 
hohere Funktionen des Bremssystems wie bspw. ABS, 
ASR, Fahrdynamik-regelungen. ICC, Bremsassistent 
Hiliholder vorgesehen ist. 35 

3. Bremssystem nach Anspruch 2. dadurch gekenn- 
zeichnet, daB die Steuereinheit als Zentralmodul (6) 
ausgebildet ist oder in dem Bremsmodul (7) integriert 
ist. 

4. Bremssystem nach Anspruch 2 oder 3, dadurch ge- 40 
kennzeichnet, daB bei einem Ausfall der Steuereinheit 
der Bremssollwert im Nodaufbetrieb iiber die Aus- 
gangssignale zumindest eines Sensors der Sensorik (3) 

in dem Radmodul (1) ermittelt wird. 

5. Bremssystem nach zumindest einem der vorange- 45 
henden Anspriiche 1 bis 4, dadurch gekennzeichnet 
daB das Zentralmodul (6) oder die in das Bremsmodul 
(7) integrierte Steuereinheit eine Datenkonsolidierung 
zur Erkennung von Storungen des Pedalmoduls (1) 
und/oder der Steuereinheit durchfuhrt 50 

6. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 5, dadurch gekennzeichnet, 
daB das Pedalmodul (1) zumindest zwei Module (4) 
aufweist, die beispielsweise Analogsignale und/oder 
inkremen telle Signale der Sensorik (3) in Digitalsi- 55 
gnale umwandeln, die uber zumindest zwei sicherheits- 
technisch getrennte Buskopplungen in den Datenbus 
(5) gespeist werden oder in dem Pedalmodul (1) digital 
weiterverarbeitet werden. 

7. Bremssystem nach Anspruch 1, dadurch gekenn- 60 
zeichnet, daB die Einrichtung in dem Pedalmodul (1) 
ausgebildet ist. 

8. Bremssystem nach Anspruch 7, dadurch gekenn- 
zeichnet, daB das Pedalmodul (1) fehlertolerant ist und 
cine Datenkonsolidierung zur Erkennung von Storun- 65 
gen des Pedalmoduls (1) durchfuhrt. 

9. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 8, dadurch gekennzeichnet. 
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daB die Datenubertragungseinheit ein zumindest zwi- 
schen dem Pedalmodul (1) und dem Radmodul (7) 
doppelt ausgefuhrter Datenbus (5) ist 

10. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 9, dadurch gekennzeichnet 
daB das Pedalmodul (1) zumindest einen Pedal wegsen- 
sor und zumindest einen Pedalkraftsensor aufweist. 

1 1 . Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 10, dadurch gekennzeichnet, 
daB das Bremsmodul (7) fail-safe ausgebildet ist. 

12. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 11, dadurch gekennzeichnet, 
daB das Zentralmodul (6) und/oder die Steuereinheit 
fail-silent ausgebildet sind. 

13. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 12, dadurch gekennzeichnet, 
daB das Bremsmodul (7) eine Fehlererkennung basie- 
rend auf lokalcn aktorspczifischen Signalcn wic bei- 
spielsweise Aktorstrom, Aktorposition, Spannkraft 
durchfuhrt und bei einer Fehlererkennung eine entspre- 
chende Meldung an das Bremssystem ausgibt, sich ab- 
schaltet und/oder eine Bremssollwertanpassung durch- 
fuhrt. 

14. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 13, dadurch gekennzeichnet, 
daB die Fehlererkennung modellgestiitzt erfolgt. 

15. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 14, dadurch gekennzeichnet 
daB das Bremsmodul (7) eine von einer Leistungselek- 
tronik unabhangige oder sicherheitstechnisch getrennte 
Abschalteinheit (14) aufweist 

16. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche 1 bis 15, dadurch gekennzeichnet, 
daB in dem Bremsmodul (7) eine Einrichtung zur zeit- 
synchronen Erfassung einer Raddrehzahl vorgesehen 
ist und die Raddrehzahl in den Datenbus (5) gespeist 
wird. 

17. Verfahren zur Steuerung eines elektromechani- 
schen Bremssystems, insbesondere fur Kraftfahrzeuge, 
mit den Schritten: 

redundantes Erfassen einer Fahrerbetaugung eines 
Bremspedals (2) mittels einer geeigneten Sensorik (3) 
in einem Pedalmodul (1) ? 

Ermitteln eines Bremssollwerts basierend auf Aus- 
gangssignalen der Sensorik (3) in einer Einrichtung, 
Ansteuern von zumindest einer Radbremse (8, 9) ba- 
sierend auf dem Bremssollwert in einem Bremsmodul 
(7), und 

Herstellen einer redundant ausgefuhrten Datenverbin- 
dung zwischen dem Pedalmodul (1), der Einrichtung 
und dem Bremsmodul (7), wobei 
eine Fehlererkennungsschaltung einen Fehler bei der 
Ermitdung des Bremssollwerts erkennt 
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